CryptanalysisBench: Can LLMs do Cryptanalysis?
Cet article présente CryptanalysisBench, un benchmark complet de 191 tâches de cryptanalyse réparties en six familles de primitives, démontrant que les modèles de langage de pointe peuvent non seulement reproduire des attaques connues sur des schémas établis, mais aussi découvrir de nouvelles vulnérabilités dans des primitives cryptographiques tant réduites que de niveau production.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez le monde numérique comme une ville immense et bouillonnante où chaque banque, chaque message et chaque secret est enfermé dans un coffre-fort. Les clés de ces coffres ne sont pas faites de métal, mais de recettes mathématiques complexes appelées « primitives cryptographiques ». Pendant des décennies, seul un petit groupe d'experts humains — comme des maîtres serruriers dotés de doctorats en mathématiques — pouvait tester ces verrous pour voir s'ils étaient véritablement incassables. Si un verrou présente une faille, chaque coffre utilisant ce verrou devient vulnérable, exposant potentiellement des secrets du passé et du futur. C'est le jeu à enjeux élevés de la cryptanalyse : l'art de trouver les points faibles de ces verrous mathématiques avant que les méchants ne le fassent.
Récemment, un nouveau genre d'« apprenti serrurier » est arrivé : les Grands Modèles de Langage (LLM). Ce sont ces agents conversationnels IA ultra-intelligents capables d'écrire du code, de résoudre des énigmes et de discuter de presque tout. La grande question qui plane sur la ville est la suivante : ces apprentis IA peuvent-ils réellement surpasser les maîtres humains ? Peuvent-ils regarder un verrou mathématique complexe, comprendre comment le crocheter et l'ouvrir sans qu'un humain n'ait besoin de les tenir par la main ? Ce n'est pas seulement un jeu ; c'est une course pour savoir si notre filet de sécurité numérique est sur le point de recevoir une mise à niveau majeure ou un trou terrifiant.
Le grand concours de crochetage : CryptanalysisBench
Dans cet article, une équipe de chercheurs issus de prestigieuses universités et de laboratoires technologiques a décidé de soumettre ces apprentis IA à l'ultime test. Ils ont construit un terrain d'entraînement géant appelé CryptanalysisBench. Voyez cela comme un parcours d'obstacles massif rempli de 191 types de verrous différents. Certains de ces verrous sont anciens et déjà connus pour être cassés (comme une porte avec une charnière desserrée), tandis que d'autres sont tout nouveaux, brillants et actuellement considérés comme « incassables » par les humains.
Les chercheurs ont invité cinq des IA les plus intelligentes de la planète (incluant des versions de Claude, GPT et GLM) à tenter de briser ces verrous. Les règles étaient strictes : l'IA devait écrire un script informatique capable de réellement casser le code, et non pas simplement deviner la réponse. Si le script fonctionnait, l'IA remportait la manche.
Les résultats : l'IA est déjà douée pour les bases
Les résultats furent surprenants. Face aux verrous « faciles » — ceux que les humains savaient déjà casser — les modèles ont été incroyablement performants. Selon le modèle, ils ont réussi à briser entre 65 % et 86 % de ces verru de connaissance.
Mais voici la partie vraiment fascinante : l'IA ne s'est pas contentée de copier les réponses d'un manuel. Dans de nombreux cas, les modèles ont examiné le code à partir de zéro, ont déduit la faille par eux-mêmes et ont écrit un script d'attaque fonctionnel. C'est comme donner à un élève un jouet cassé et lui demander de le réparer ; au lieu de chercher le manuel, il a compris l'engrenage défectueux simplement en observant le jouet.
Les nouvelles découvertes : l'IA trouve des failles que les humains ont manquées
La découverte la plus excitante s'est produite lorsque l'IA s'est attaquée à des verrous que les humains pensaient sûrs. Les chercheurs ont découvert que les modèles d'IA découvraient de nouvelles façons de briser certains de ces systèmes.
- Le cas SpoC : Deux modèles d'IA différents ont découvert indépendamment un moyen de briser un verrou appelé « SpoC » que personne ne savait être défectueux. Ils ont réalisé que si l'on envoyait un type spécifique de message vide, le verrou oubliait d'effectuer sa vérification de sécurité. En envoyant deux messages astucieux, l'IA pouvait voler la clé secrète. Il s'agissait d'un véritable moment « Eurêka ! » survenu sans aucune aide humaine.
- Le cas KINDI : Un autre modèle a trouvé une erreur dans la « preuve de sécurité » officielle d'un système appelé KINDI. Les concepteurs avaient écrit une règle disant : « Ceci est sûr car une seule clé correspond à ce verrou ». L'IA a prouvé qu'ils avaient tort, montrant qu'on pouvait en fait tromper le verrou pour qu'il accepte de nombreuses clés différentes. L'IA a ensuite utilisé cette ruse pour voler la clé secrète. Cependant, les chercheurs ont noté qu'il ne s'agissait pas d'un oubli accidentel des concepteurs, mais d'un choix de conception délibéré pour rendre le système plus efficace, même si cela introduisait une vulnérabilité que l'IA a exploitée avec succès.
Là où l'IA éprouve des difficultés
L'IA n'est pas encore une baguette magique. Lorsque les chercheurs ont donné aux modèles les verrous « difficiles » — ceux qui sont actuellement utilisés pour protéger les données du monde réel et qui n'ont pas été cassés par les humains — le taux de réussite a chuté de manière significative. Les modèles parvenaient souvent à identifier l'idée d'une attaque, mais échouaient à écrire le code final pour la faire fonctionner. C'est comme si l'IA savait que la porte était déverrouillée, mais n'arrivait pas tout à fait à comprendre comment la pousser pour l'ouvrir avant la fin du temps imparti.
Cependant, lorsque les chercheurs ont accordé plus de temps à l'IA (passant de 2 heures à 16 heures), les modèles se sont nettement améliorés. Ils ont réussi à briser encore plus de verrous difficiles, y compris certains nécessitant des mathématiques très complexes et lourdes. Cela suggère que la principale limitation de l'IA actuellement n'est pas un manque d'intelligence, mais un manque de temps pour terminer la tâche.
L'essentiel à retenir
L'article conclut que l'IA est déjà un acteur sérieux dans le monde de la cryptographie. Elle peut trouver des failles dans des conceptions qui ont été scrutées par des experts humains pendant des années. Cependant, les chercheurs ont également constaté qu'un nombre important de « cassures » trouvées par l'IA étaient en réalité des bugs dans le code de référence (l'implémentation d'exemple fournie par les concepteurs) plutôt que des failles fondamentales dans la conception mathématique elle-même. Bien que l'IA trouve des fissures dans le code, elle commence aussi à trouver des fissures dans la conception même que les maîtres ont manquées.
Bien qu'elle n'ait pas encore totalement maîtrisé les verrous les plus difficiles du monde réel, elle progresse rapidement. Les chercheurs ont publié leur benchmark comme un outil pour surveiller de près cette course. Ils veulent suivre précisément le moment où l'IA deviendra assez forte pour briser les verrous qui protègent nos vies numériques, afin que nous puissions les réparer avant que l'IA ne le fasse.
En bref : les apprentis IA ne sont plus de simples observateurs des maîtres ; ils commencent à crocheter les verrous eux-mêmes, et ils trouvent des fissures que même les maîtres ont manquées.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.